Super AML

Il Quaderno UIF di Rassegna normativa dedica l’intero approfondimento alle partnership pubblico-privato (PPP), ricostruendone i modelli esistenti, le esperienze nazionali più significative e il nuovo quadro normativo disegnato dall’AML Package europeo. Un segnale che il sistema sta cambiando pelle.

Un cambio di logica, non solo di strumenti

Per decenni, il sistema antiriciclaggio ha funzionato secondo una logica essenzialmente verticale: le autorità emanano norme, le FIU ricevono segnalazioni, i soggetti obbligati adempiono. Questo schema, pur fondamentale, soffre di un limite strutturale. Le informazioni circolano in modo frammentato, i fenomeni criminali vengono compresi con ritardo e la qualità delle segnalazioni di operazioni sospette risente della distanza tra chi conosce il cliente e chi conosce il rischio sistemico.

Le partnership pubblico-privato nascono per rispondere a questo limite. L’idea è semplice nella sua formulazione, complessa nella sua attuazione: creare canali strutturati attraverso cui autorità e settore privato condividano informazioni, analisi e competenze, con l’obiettivo comune di rendere il sistema più efficace nel rilevare, segnalare e contrastare i flussi illeciti.

“I partecipanti hanno concordato che le partnership pubblico-privato dovrebbero aprire la strada allo sviluppo di roadmap comuni.” (GAFI, Private Sector Collaborative Forum, marzo 2025)

Il GAFI non ha ancora formalizzato le PPP nei propri standard, ma le sostiene con crescente convinzione. Il loro valore viene segnalato nelle Mutual Evaluation, nei documenti tematici e nelle conclusioni degli incontri periodici con il settore privato. Il messaggio che ne emerge è coerente: le sinergie tra attori pubblici e privati sono una risorsa ancora largamente inesplorata.

I modelli nel mondo: una varietà di approcci

Il panorama internazionale delle PPP è ricco e variegato. Il Quaderno UIF distingue tra partnership strategiche, orientate alla condivisione di tipologie, indicatori di rischio e tendenze emergenti, e partnership operative, focalizzate su informazioni sensibili relative a specifici soggetti e operazioni. Nella pratica, i confini tra le due categorie sono spesso fluidi.

In Germania, l’Anti-Financial Crime Alliance (AFCA) riunisce dal 2019 cinquantotto istituzioni tra settore finanziario, non finanziario e autorità pubbliche. Sei gruppi di lavoro tematici, che spaziano dal riciclaggio immobiliare ai reati ambientali, si riuniscono regolarmente per condividere informazioni e rafforzare la capacità di detection. In Olanda operano tre distinte iniziative di cooperazione: la Netherlands Terrorist Financing Task force e la Netherlands Serious Crime Task force lavorano sotto la direzione strategica del Financial Expertise Centre, mentre la Fintell Alliance vede personale bancario in distacco fisico presso la FIU, con accesso ai soli database della propria organizzazione.

Il modello più maturo e articolato è probabilmente quello britannico. La Joint Money Laundering Intelligence Taskforce (oggi JMLIT+) conta oltre duecento membri tra forze dell’ordine, regolatori, istituti finanziari, società di telecomunicazioni e piattaforme digitali. Nel 2024 ha lanciato il progetto Data Fusion, che prevede la condivisione da parte di sette banche di dati su rapporti sospetti e la loro analisi congiunta con gli esperti delle forze dell’ordine.

ART. 2 REGOLAMENTO UE/2024/1624 (AMLR) – Definizione Il “partenariato per la condivisione delle informazioni” è definito quale meccanismo che consente la condivisione e il trattamento delle informazioni tra i soggetti obbligati e, se del caso, le autorità competenti, ai fini della prevenzione e della lotta contro il riciclaggio, i reati presupposto associati e il finanziamento del terrorismo, a livello nazionale o su base transfrontaliera, e indipendentemente dalla forma di tale partenariato.

A livello europeo, Europol coordina dal 2017 l’EFIPPP, primo meccanismo transnazionale di condivisione di informazioni tra FIU, autorità investigative e soggetti obbligati. Novantasei organizzazioni provenienti da ventisette paesi partecipano alle sessioni plenarie e ai gruppi di lavoro dedicati alle minacce emergenti. L’Italia vi è presente con la Polizia di Stato, la Guardia di Finanza, Intesa Sanpaolo, Unicredit e l’Università di Bologna.

L’esperienza italiana: il progetto pilota in Piemonte e Valle d’Aosta

Tra le esperienze descritte nel Quaderno, quella italiana merita attenzione particolare. Nel biennio 2024-2025 è stato avviato un progetto pilota nelle regioni Piemonte e Valle d’Aosta che ha coinvolto la UIF, l’Unità di Supervisione e Normativa Antiriciclaggio (SNA) della Banca d’Italia, la Direzione Investigativa Antimafia, la Guardia di Finanza e Intesa Sanpaolo attraverso il Consorzio Anti Financial Crime Digital Hub.

Il focus operativo del progetto è stato sulle false fatturazioni e sul trade-based money laundering attraverso società cartiere. Un algoritmo di detection sviluppato da Intesa Sanpaolo ha analizzato oltre quarantaduemila società di capitali operanti nelle due regioni e più di quattrocentomila soggetti collegati. I partecipanti hanno messo in comune studi quantitativi della UIF, evidenze qualitative tratte dall’attività investigativa di DIA e GdF e conoscenza diretta del territorio.

I risultati sono stati descritti con onestà, segnalando luci e ombre. Da un lato, alcuni casi individuati dall’algoritmo hanno trovato riscontro positivo presso le autorità investigative, soprattutto quando l’incrocio di evidenze soggettive, oggettive e relazionali ha portato alla luce nuovi cluster di rischio. Dall’altro, sono emersi limiti legati alla copertura imperfetta dei dati di bilancio, alla non sempre piena interoperabilità delle basi informative e allo scarto fisiologico tra modelli teorici e applicazioni pratiche.

La riproducibilità e la robustezza degli indicatori utilizzati dai segnalanti migliorano sensibilmente quando la sinergia tra pubblico e privato si concretizza anche nel feedback operativo, positivo o negativo che sia.

Il pilota ha anche confermato l’importanza crescente degli strumenti di intelligenza artificiale, aprendo al tempo stesso interrogativi sulla governance della privacy. In questo contesto assumono rilievo le linee guida della Commissione europea sulle pratiche di IA vietate, che all’art. 5(1)(d) dell’AI Act escludono la profilatura del rischio criminale basata su soli tratti o caratteristiche personali, pur ammettendo sistemi AI per l’adempimento degli obblighi antiriciclaggio purché soggetti a supervisione umana.

La PPP strategica UIF-SNA-ABI: una sede permanente di dialogo

Nel corso del 2025 la UIF, la SNA e l’ABI hanno avviato una PPP strategica con i principali intermediari bancari nazionali, con la partecipazione del MEF, della Guardia di Finanza, della DIA e della Direzione Nazionale Antimafia e Antiterrorismo. La prima riunione plenaria si è tenuta nel novembre 2025.

La partnership non ha un carattere operativo nel senso delle task force descritte in precedenza. Si configura piuttosto come sede stabile di condivisione e confronto su profili strategici: l’evoluzione dei rischi emergenti, l’impiego di tecnologie avanzate e intelligenza artificiale, le interazioni tra disciplina antiriciclaggio e altri plessi normativi. Sono stati individuati due temi prioritari per i gruppi di lavoro misti: l’adeguata verifica a distanza e i furti di identità, incluso l’utilizzo di database pubblici; le truffe e la loro ricorrenza nei flussi segnaletici ricevuti dalla UIF.

Per la UIF, la partnership rappresenta un canale privilegiato per intercettare le esigenze operative dei soggetti obbligati e per condividere analisi aggregate, in vista dell’aggiornamento delle casistiche e dei provvedimenti normativi. Per il settore privato, è un’occasione per ricevere feedback qualificati sulla propria collaborazione attiva e per orientare i sistemi di rilevazione delle anomalie su basi informative più solide.

Il quadro normativo: cosa dice l’AML Package

L’AML Package riconosce formalmente le PPP e ne disciplina la costituzione all’art. 75 del Regolamento UE/2024/1624. Si tratta di una svolta rispetto al passato: fino ad oggi le partnership sono sorte in assenza di un quadro normativo dedicato, talvolta in un’area grigia rispetto al divieto di tipping-off.

Il Regolamento distingue tra partnership private-private, composte da soli soggetti obbligati, e public-private, aperte anche a FIU, autorità di supervisione e autorità investigative. La partecipazione è subordinata alla previa notifica alla propria autorità di supervisione e all’esecuzione di una valutazione d’impatto sulla protezione dei dati. I soggetti obbligati devono dotarsi di procedure interne che definiscano la portata delle informazioni condivise, i ruoli delle parti e la valutazione del rischio.

Le informazioni condivisibili includono quelle raccolte in sede di adeguata verifica (pre-suspicion information) e quelle relative a operazioni sospette, queste ultime solo previa autorizzazione della FIU che ha ricevuto la segnalazione. Dal punto di vista soggettivo, lo scambio è ammesso solo con riferimento a clienti ad alto rischio o per i quali occorre raccogliere informazioni aggiuntive per determinare il livello di rischio.

Un elemento chiave del regime è il vincolo funzionale: la condivisione può avvenire solo ove strettamente necessaria per adempiere agli obblighi di adeguata verifica e di segnalazione. I soggetti obbligati non possono basarsi esclusivamente sulle informazioni ottenute nell’ambito della PPP per determinare il profilo di rischio di un cliente o per prendere decisioni sul rapporto d’affari, proprio per evitare fenomeni di de-risking automatico. Le informazioni generate con l’ausilio dell’intelligenza artificiale sono condivisibili solo se precedentemente sottoposte a supervisione umana.

IL NODO DEL DE-RISKING Il Regolamento prevede espressamente che, laddove il soggetto obbligato intenda assumere decisioni aventi un’incidenza sul rapporto d’affari con il cliente, dovrà integrare le informazioni ottenute nell’ambito del partenariato con valutazioni autonome. I soggetti obbligati non dovrebbero fare riferimento esclusivo alle informazioni ottenute dalla partecipazione alla PPP per determinare il profilo di rischio del cliente o dell’operazione e prendere decisioni in merito all’instaurazione o prosecuzione della relazione d’affari.

L’AMLA potrà istituire partenariati transfrontalieri e partecipare a partnership esistenti, previo consenso delle autorità promotrici. Questo apre la prospettiva di un coordinamento europeo strutturato che superi la dimensione puramente domestica delle esperienze finora sviluppate.

CONCLUSIONI

Le PPP non sono una soluzione miracolosa. I rischi che le accompagnano sono reali: la possibilità che informazioni riservate delle FIU alimentino condotte di de-risking, i problemi di riservatezza connessi alla condivisione di dati personali, la difficoltà di costruire una governance stabile in contesti dove partecipanti pubblici e privati hanno culture, linguaggi e vincoli profondamente diversi.

Eppure, i risultati osservati nei paesi in cui le PPP sono attive da anni parlano chiaro. La qualità delle segnalazioni migliora quando il segnalante sa cosa stanno cercando le autorità. La capacità di detection cresce quando i dati bancari vengono incrociati con l’intelligence investigativa. La fiducia reciproca tra pubblico e privato si costruisce attraverso il confronto, non attraverso la comunicazione formale unidirezionale.

L’esperienza pilota italiana e la nuova PPP strategica UIF-SNA-ABI rappresentano passi concreti in questa direzione. Il quadro normativo europeo offre ora una base giuridica solida. Resta da costruire la cultura della collaborazione, che è la condizione più difficile da soddisfare e la più importante.